Votre téléphone affiche le numéro de votre banque. Au bout du fil, une personne qui se présente comme l’assistante de votre conseillère vous annonce qu’une attaque informatique vise votre compte et qu’il faut d’abord supprimer vos bénéficiaires de virement, puis les réenregistrer un par un. Vous restez en ligne, vous recevez des SMS de validation, vous saisissez votre code confidentiel pour confirmer chaque ajout. Quelques heures plus tard, plusieurs virements ont vidé une partie de votre compte au profit d’inconnus. Ce scénario n’est pas une hypothèse d’école : le 31 mai 2019, un client a constaté que plusieurs virements frauduleux avaient été réalisés pour un montant de 54 500 euros sur son compte, après avoir été contacté par téléphone par une personne se faisant passer pour une préposée de sa banque, qui lui demandait d’ajouter, grâce à ses données personnelles de sécurité, cinq personnes sur sa liste de bénéficiaires de virements. La banque a refusé de rembourser en invoquant sa négligence, le litige est monté jusqu’à la Cour de cassation, et le 23 octobre 2024 la haute juridiction a rejeté le pourvoi de lâétablissement : le client a été remboursé. La question que se pose chaque victime est directe : l’argent validé sous la pression d’un faux conseiller bancaire peut-il être récupéré, dans quel délai et par quel recours ? La réponse tient en deux temps. D’un côté, une opération extorquée par ruse reste en principe une opération de paiement non autorisée, que la banque doit rembourser vite, au plus tard à la fin du premier jour ouvrable suivant. De l’autre, la banque ne peut vous faire supporter la perte qu’en prouvant une négligence grave de votre part, et cette preuve ne se déduit ni du seul fait que vos codes ont servi, ni du seul enregistrement informatique de l’opération. Encore faut-il agir vite, signaler dans les délais et conserver chaque preuve.
I. « Arnaque faux conseiller bancaire que faire » : reconnaître le piège et figer les preuves
A. Le faux appel de la banque : un numéro usurpé, une urgence fabriquée et des codes extorqués
L’arnaque au faux conseiller bancaire repose sur un ressort unique : la confiance. L’escroc ne pirate pas votre compte de l’extérieur, il vous conduit à ouvrir vous-même la porte. Le premier levier est technique et s’appelle le « spoofing », soit littéralement une usurpation d’identité : le numéro qui s’affiche sur votre téléphone est celui de votre agence ou de votre conseillère, alors que l’appel vient d’ailleurs. Dans lâaffaire jugée par la Cour de cassation le 23 octobre 2024, ce point a été décisif : le numéro d’appel apparaissant sur le téléphone portable du client s’était affiché comme étant celui de sa conseillère, et le client croyait être en relation avec une salariée de la banque lorsqu’elle lui demandait de réenregistrer des bénéficiaires de virement. La Cour relève que le mode opératoire par l’utilisation du « spoofing » a mis le client en confiance et a diminué sa vigilance. Autrement dit, voir s’afficher le vrai numéro de sa banque n’est plus une garantie, et les juges en tiennent compte.
Le deuxième levier est psychologique : l’urgence fabriquée. L’interlocuteur annonce une attaque informatique en cours, des bénéficiaires à supprimer pour déjouer le piratage, puis à réenregistrer avant le blocage du compte, parfois avec la promesse d’un nouvel identifiant et d’un nouveau mot de passe adressés par voie postale. Tout est fait pour empêcher la vérification : rester en ligne, valider immédiatement les SMS reçus, ne pas raccrocher pour rappeler l’agence. Dans le dossier de 2019, le client était resté en ligne avec son interlocutrice, avait reçu sur son téléphone mobile des messages l’invitant à valider des ajouts de bénéficiaires, et l’avait fait en saisissant son code confidentiel. Chaque validation ajoutait en réalité un complice à la liste des bénéficiaires, et les virements partaient ensuite sans autre obstacle.
Les variantes sont nombreuses et les tribunaux en voient défiler chaque semaine. Dans un jugement du 24 mars 2026, le tribunal judiciaire de Paris a statué sur un dossier où tout avait commencé par un SMS frauduleux évoquant une amende de 35 euros que l’un des époux avait tenté de payer, avant qu’une personne se présentant comme un conseiller bancaire n’appelle pour évoquer des opérations frauduleuses et ne demande d’accéder à l’espace client afin de procéder à la restitution des sommes. Sous prétexte d’obtenir un remboursement et d’un prétendu plafond de restitution, l’interlocuteur avait fait transmettre des codes reçus par SMS, puis orienté les victimes vers un autre compte joint, débité de 5 208,27 euros au profit d’une plateforme de voyage. Retenez le mécanisme : un premier hameçon anodin, un faux conseiller qui se pose en sauveur, une promesse de remboursement qui justifie chaque manipulation, et un virement final que la victime croit valider pour récupérer son argent. Aucune banque sérieuse ne demande jamais à un client de valider l’ajout d’un bénéficiaire inconnu par téléphone, ni de transmettre un code reçu par SMS : tout appel qui l’exige est, par construction, suspect.
Sur le plan pénal, ces agissements caractérisent d’abord l’escroquerie. Aux termes de l’article 313-1 du code pénal, « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le faux conseiller qui usurpe la qualité de salarié de la banque et organise la mise en confiance par un numéro usurpé entre pleinement dans cette définition, et « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » L’usurpation du numéro de la banque peut en outre caractériser l’usurpation d’identité : l’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Ces qualifications appartiennent au juge pénal, saisi par votre plainte, et elles conditionnent aussi la suite civile : démontrer l’escroquerie, c’est démontrer que l’opération n’a jamais été voulue.
B. Les premiers réflexes après l’appel : bloquer l’instrument, signaler la fraude et conserver chaque trace
Une fois le doute installé, chaque minute compte, et l’ordre des gestes a une importance juridique. Le premier réflexe consiste à couper le contact avec l’escroc, puis à appeler votre banque par un numéro que vous composez vous-même, depuis votre carte bancaire ou le site officiel de l’établissement, pour demander le blocage des virements et des instruments compromis. Ce geste n’est pas seulement pratique, il répond à une obligation légale : l’article L. 133-17 du code monétaire et financier prévoit que « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Signaler sans tarder, c’est donc à la fois limiter le préjudice et vous placer en conformité avec le texte dont la banque pourrait vous opposer la méconnaissance. Faites également opposition si des paiements par carte sont en jeu, changez vos codes d’accès et vérifiez la liste des bénéficiaires enregistrés sur votre espace en ligne.
Le deuxième réflexe est policier : déposez plainte. Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes des victimes d’infractions pénales, et l’article 15-3 du code de procédure pénale précise qu’ils sont « tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » Aucun service ne peut donc vous renvoyer au motif que l’escroc opérait depuis une autre ville ou depuis l’étranger ; la plainte est, s’il y a lieu, transmise au service territorialement compétent. Décrivez avec précision la chronologie : le numéro affiché, les propos tenus, les SMS reçus, les codes transmis, les montants et les bénéficiaires. Joignez les captures d’écran des SMS et du journal d’appels, les relevés de compte et toute correspondance avec la banque. Ce récit, consigné à chaud, servira deux fois : à l’enquête pénale pour escroquerie, et à votre dossier civil de remboursement, car il établit que l’opération résulte d’une manipulation et non d’un choix éclairé.
Le troisième réflexe est probatoire : conservez tout, même ce qui paraît anodin. Ne supprimez ni les SMS de validation, ni les courriels, ni l’historique des appels ; photographiez le numéro affiché et l’intitulé exact des messages ; éditez vos relevés de compte montrant les virements litigieux, leurs dates, leurs montants et leurs bénéficiaires ; gardez une copie de chaque courrier adressé à la banque et de chaque réponse reçue. C’est sur ces pièces que le juge appréciera, des mois plus tard, si votre vigilance a été surprise par un scénario crédible ou si vous avez validé en connaissance de cause. Dans le dossier parisien de 2026, les juges ont passé au crible la plainte, la lettre adressée à la banque le 9 novembre 2023 et les relevés informatiques de connexion pour déterminer qui avait communiqué quoi, sur quel compte et à quel moment. Les victimes qui documentent chaque étape se donnent les moyens de démontrer que le faux conseiller pilotait chaque geste, y compris celui qui paraît, sur un relevé bancaire, comme une validation ordinaire. Pour les gestes d’urgence sur votre carte, les règles de lâopposition et de la contestation applicables au quotidien bancaire obéissent à la même logique de rapidité : chaque heure perdue complique la récupération des fonds déjà partis.
II. « Faux conseiller bancaire remboursement » : le remboursement, ses délais et ses limites
A. Une opération extorquée par ruse reste non autorisée : un signalement dans les treize mois et un remboursement au plus tard le premier jour ouvrable suivant
Le point de départ du droit au remboursement est une idée simple : valider techniquement une opération sous l’emprise d’un escroc, ce n’est pas l’autoriser. Le code monétaire et financier organise ce principe autour de deux textes indissociables. D’abord le délai pour agir : l’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Concrètement, vous devez signaler sans attendre, et vous perdez le bénéfice du régime protecteur si vous laissez passer plus de treize mois après le débit, sauf si la banque ne vous a pas fourni les informations sur l’opération. En pratique, la contestation écrite part dès la découverte de la fraude, par courrier recommandé ou via les canaux de réclamation de la banque, en parallèle du dépôt de plainte, et elle mentionne chaque opération contestée avec sa date et son montant.
Ensuite le remboursement lui-même : l’article L. 133-18 du code monétaire et financier prévoit que « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » La banque doit donc rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant, puis, « le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. » La seule échappatoire ouverte à ce stade est étroite : des raisons sérieuses de soupçonner une fraude de votre part, communiquées par écrit à la Banque de France. Un simple doute, un retard d’analyse ou un soupçon de négligence ne suffit pas à différer le remboursement.
Le législateur a assorti ce remboursement d’une sanction financière dissuasive en cas de retard. Toujours selon le même article, « En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Les juges appliquent ces majorations avec rigueur. Dans le jugement parisien du 24 mars 2026, le tribunal a constaté, au vu des pièces de la banque elle-même, que l’établissement avait eu connaissance de la demande de remboursement le 12 octobre 2023 et qu’il lui appartenait dès lors de rembourser au plus tard à la fin du premier jour ouvrable suivant, soit le 13 octobre 2023. La banque a été condamnée à payer la somme de 5 207,27 euros, assortie des intérêts au taux légal majoré de cinq points à compter du 13 octobre 2023, puis de dix points et enfin de quinze points au fil du retard. Le dispositif est limpide : « CONDAMNE la CAISSE D’EPARGNE ET DE PREVOYANCE ILE-DE-FRANCE à payer à M. [C] [X] et Mme [D] [X] la somme de 5 207,27 euros ». Chaque jour de retard de la banque augmente donc mécaniquement la facture, ce qui donne un poids réel à votre réclamation écrite datée.
Reste à comprendre pourquoi une opération validée avec vos codes demeure juridiquement « non autorisée ». L’autorisation ne se réduit pas à la saisie d’un code : elle suppose un consentement éclairé à l’opération telle qu’elle est réellement exécutée. Valider l’ajout d’un bénéficiaire en croyant suivre les instructions de votre banque pour contrer un piratage, alors que vous inscrivez en réalité un complice de l’escroc, ce n’est pas consentir au virement qui s’ensuit. Les juges parisiens l’ont rappelé en 2026 : « la preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » Autrement dit, le fait que vos identifiants et votre téléphone aient servi ne prouve ni que vous avez autorisé le virement, ni que vous avez été gravement négligent. La banque qui se contente d’exhiber ses journaux de connexion, montrant que l’opération a été validée depuis votre appareil de confiance, n’établit par là même ni l’autorisation ni la faute. Cette analyse vaut aussi pour l’authentification dite forte, qui repose sur la combinaison d’éléments de connaissance, de possession et d’inhérence : même établie techniquement, elle ne suffit pas à elle seule à faire échec à la demande de remboursement, comme le montrent les décisions rendues en matière de codes à usage unique détournés.
B. Quand la banque refuse de payer : la négligence grave, à elle de la prouver, et vos recours
Le refus de remboursement oppose presque toujours le même motif : vous auriez transmis vos codes et validé les opérations, donc vous auriez commis une négligence grave. Ce motif n’est pas sans fondement textuel : l’article L. 133-19 du code monétaire et financier dispose que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Et l’article L. 133-16 du même code impose à l’utilisateur une obligation permanente de prudence : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Transmettre son code confidentiel à un inconnu au téléphone semble, à première lecture, violer frontalement cette obligation. Mais la jurisprudence récente a considérablement encadré l’usage que les banques font de cet argument, et c’est là que se gagnent les dossiers de faux conseiller.
Premier verrou : c’est à la banque de prouver votre négligence grave, et cette preuve obéit à des règles strictes. L’article L. 133-23 du code monétaire et financier prévoit que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » Le même texte ajoute que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » La Cour de cassation en a tiré une conséquence redoutable pour les établissements : la banque qui veut faire supporter la perte au client doit non seulement démontrer la négligence grave, mais aussi prouver positivement que l’opération a été authentifiée, enregistrée, comptabilisée et exempte de toute déficience technique. Dans un arrêt du 12 novembre 2020, rendu contre deux caisses de crédit mutuel, la chambre commerciale a jugé que « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » La cliente avait pourtant transmis ses nom, numéro de carte, date d’expiration et cryptogramme en réponse à un courriel frauduleux, ainsi que des codes à six chiffres destinés à valider des paiements qu’elle n’avait pas réalisés : le pourvoi des banques a été rejeté et elles ont été condamnées à rembourser 3 300,28 euros. Le message est clair : même face à un client qui a communiqué des données sensibles, la banque ne gagne que si elle rapporte l’ensemble des preuves exigées, et le juge apprécie souverainement si elle y parvient.
Deuxième verrou : face à un faux conseiller qui usurpe le numéro de votre banque, la négligence grave n’est que rarement retenue. C’est l’apport majeur de lâarrêt du 23 octobre 2024 : après avoir exactement énoncé qu’« il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client », la Cour approuve les juges d’appel d’avoir retenu que le client croyait être en relation avec une salariée de la banque, et que « le mode opératoire par l’utilisation du « spoofing » a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel ». Conclusion de la Cour : « De ces constatations et appréciations, la cour d’appel a pu déduire que la négligence grave de M. [J] n’était pas caractérisée », et « Le moyen n’est donc pas fondé », la banque voyant son pourvoi rejeté avec condamnation aux dépens et à 3 000 euros au titre des frais de justice. Cette décision ne donne pas un blanc-seing à toutes les victimes : elle juge qu’un client normalement attentif, joint sur le numéro affiché de sa conseillère par une interlocutrice crédible qui invoque un piratage, ne commet pas nécessairement une négligence grave en validant ce qu’on lui présente comme des mesures de protection. Chaque dossier reste jugé sur ses faits, et la crédibilité du scénario, l’affichage du numéro connu, l’absence de temps pour vérifier et la cohérence apparente des instructions pèsent lourd dans l’appréciation.
La contrepartie de cette protection mérite d’être connue : tous les dossiers ne se valent pas et les juges distinguent les situations. Dans le jugement parisien de 2026, le tribunal a écarté l’invocation de l’arrêt de 2024 par les demandeurs, en relevant que leur interlocuteur s’était présenté comme conseiller d’une autre banque que celle du compte débité, sans usurpation du numéro enregistré du conseiller, de sorte que « le seul fait pour un interlocuteur de se présenter auprès d’un client d’une banque comme un conseiller bancaire ne permet pas de se prévaloir de cette jurisprudence ». Pourtant, la banque a quand même été condamnée, pour un motif différent et tout aussi instructif : les codes transmis par SMS concernaient le compte d’un autre établissement, tandis que sur le compte litigieux la cliente s’était contentée d’ouvrir son application sans communiquer de données personnelles, et le tribunal a jugé qu’« Il n’est par conséquent pas établi que, s’agissant de l’opération effectuée sur le compte joint », la cliente ait manqué gravement à ses obligations. La leçon pratique est double : d’un côté, l’argument du spoofing ne fonctionne que si l’usurpation du numéro ou de l’identité est établie par des pièces, et de l’autre, la banque doit prouver une négligence rattachée précisément à l’opération contestée, pas une imprudence générale commise ailleurs. D’où l’importance de la chronologie conservée dès le premier jour : quel code transmis, pour quel compte, à quel moment.
Si la banque maintient son refus après votre réclamation, deux voies complémentaires s’ouvrent. Sur le terrain civil, le régime légal des paiements non autorisés est exclusif de tout autre fondement : le tribunal parisien rappelle, au visa d’un arrêt de la Cour de justice de l’Union européenne du 2 septembre 2021, que « Le régime de responsabilité d’une banque, en présence d’un paiement non autorisé, est donc exclusif de tout autre régime de responsabilité de droit national », ce qui a conduit à débouter les époux de leurs demandes complémentaires au titre du crédit souscrit et du préjudice moral. Concrètement, vous pouvez obtenir le remboursement intégral et les intérêts majorés, mais pas de dommages et intérêts supplémentaires sur un autre fondement : calibrez votre demande en ce sens et ne laissez pas un refus sur l’accessoire masquer l’acquis sur le principal. Lorsque le virement est déjà parti vers l’escroc, un autre texte joue en votre faveur : l’article L. 133-21 du code monétaire et financier prévoit que « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. Toutefois, le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. » Exigez donc par écrit que votre banque mette en œuvre cet effort de récupération auprès de l’établissement du bénéficiaire et qu’elle vous communique les informations utiles à votre recours contre le destinataire des fonds. Sur le terrain pénal, votre plainte pour escroquerie suit son cours indépendamment : une condamnation pénale de l’escroc, même insolvable, consolide définitivement la démonstration que l’opération n’a jamais été autorisée. Menée avec méthode, la séquence réclamation datée, preuve de la manipulation, contestation dans les délais et recours juridictionnel si nécessaire aboutit dans un grand nombre de dossiers au remboursement intégral, comme l’illustrent les trois décisions rendues entre 2020 et 2026 citées dans cet article.
Conclusion
Le faux conseiller bancaire qui affiche le numéro de votre établissement, fabrique une urgence et vous fait valider des ajouts de bénéficiaires ne vous transforme pas en auteur des virements qui suivent : le droit des paiements non autorisés reste applicable, avec un signalement à adresser sans tarder et au plus tard dans les treize mois du débit, un remboursement dû au plus tard à la fin du premier jour ouvrable suivant, et des intérêts majorés qui sanctionnent chaque jour de retard de la banque. La négligence grave que l’établissement invoquera presque systématiquement ne se présume pas : c’est à lui de la prouver, en même temps que l’authentification et l’enregistrement réguliers de l’opération, et l’usurpation avérée du numéro de votre banque diminue, aux yeux des juges, l’exigence de vigilance pesant sur un client normalement attentif. La décision de la Cour de cassation du 23 octobre 2024 et le jugement parisien du 24 mars 2026 balisent désormais ce contentieux avec une netteté inédite : documentez l’appel, bloquez sans attendre, déposez plainte, contestez par écrit et exigez l’effort de récupération des fonds. À ces conditions, l’argent extorqué par un faux conseiller se récupère, dans les délais que la loi impose à votre banque.